L’article 16 du RGPD donne à toute personne le droit d’obtenir, sans délai injustifié, la rectification des données inexactes la concernant et le complément des données incomplètes, y compris par une déclaration complémentaire. L’entreprise corrige dans un délai d’un mois, répercute la correction chez les destinataires des données et confirme la modification à la personne. C’est le droit le plus simple à satisfaire, et celui qui révèle le plus vite si une entreprise sait où sont ses données.
L’essentiel
- Deux objets : corriger une donnée fausse, compléter une donnée incomplète.
- Délai d’un mois (article 12), réponse gratuite, confirmation à la personne.
- Obligation de notifier la rectification à chaque destinataire des données, sauf impossibilité ou effort disproportionné (article 19).
- Une rectification refusée se motive : par exemple lorsque la donnée contestée est une appréciation (évaluation, avis) et non un fait.
Ce que dit l’article 16
| Disposition | Ce que dit le texte |
|---|---|
| Article 16 | La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, elle a le droit d’obtenir que les données incomplètes soient complétées, y compris en fournissant une déclaration complémentaire. |
| Article 19 | Le responsable notifie à chaque destinataire toute rectification, effacement ou limitation, à moins que cela se révèle impossible ou exige des efforts disproportionnés ; il informe la personne de ces destinataires si elle le demande. |
Ce que cela change pour une PME
Corriger partout, pas seulement dans le CRM
Une adresse e-mail corrigée dans le CRM mais pas dans l’outil d’e-mailing continue de produire des envois erronés. La rectification suit le même chemin que l’effacement : chaque outil du registre, puis les prestataires qui détiennent une copie.
Distinguer un fait d’une appréciation
Une date de naissance, une adresse ou un montant se rectifient. Une évaluation annuelle, un avis de la direction ou une note interne sont des appréciations : la personne peut demander qu’une déclaration complémentaire y soit jointe, pas que l’appréciation soit remplacée par la sienne.
Faciliter la rectification en amont
Un espace client où la personne modifie elle-même ses coordonnées, et un contrôle annuel des fiches RH, réduisent les demandes et satisfont en même temps le principe d’exactitude de l’article 5.
Conserver la trace
La demande, la correction effectuée, la date et la liste des destinataires notifiés se consignent dans le journal des demandes de droits, le même que pour le droit d’accès.
Ce que la CNIL contrôle sur ce fondement
| Texte ou décision | Nature | Ce qu’il faut retenir |
|---|---|---|
| Principe d’exactitude (article 5.1.d) | Point de contrôle | La CNIL vérifie lors des contrôles que des procédures de mise à jour existent (fiches RH, fichiers clients) ; les sanctions visent en général l’exactitude et la conservation ensemble. |
| Free Mobile, 28 décembre 2022 | 300 000 euros (toutes causes) | Parmi les manquements relevés : demandes de droits (accès, opposition) non traitées dans le délai. Le raisonnement vaut pour la rectification, soumise au même délai de l’article 12. |
Les sanctions fondées sur le seul article 16 sont rares ; le manquement apparaît presque toujours comme une demande de droit restée sans réponse, ce qui relève de l’article 12.
Les questions que je pose en audit
- Si un client signale une erreur dans ses coordonnées, dans combien d’outils faut-il la corriger, et qui le fait ?
- Vos clients et vos salariés peuvent-ils modifier eux-mêmes leurs informations de base ?
- Vos fichiers RH sont-ils vérifiés au moins une fois par an ?
- Comment informez-vous vos prestataires d’une rectification ?
- Avez-vous déjà refusé une rectification, et sur quel motif ?
Prêt à l’emploi : la réponse à une demande de rectification
Confirmation : « Suite à votre demande du [date], nous avons corrigé [donnée] dans l’ensemble de nos outils le [date]. Cette correction a été transmise à [destinataires : prestataire X, partenaire Y]. N’hésitez pas à nous signaler toute autre information à mettre à jour. »
Déclaration complémentaire (appréciation contestée) : « L’élément que vous contestez est une appréciation émise par [service] le [date]. Nous ne pouvons pas la modifier, mais nous avons joint à votre dossier la déclaration complémentaire que vous nous avez transmise ; elle sera communiquée avec l’appréciation à toute personne y ayant accès. »
Et en Suisse ?
La nLPD prévoit le droit de faire rectifier des données inexactes à son article 32, alinéa 1, et, lorsque ni l’exactitude ni l’inexactitude ne peuvent être établies, le droit de faire ajouter une mention signalant le caractère litigieux de la donnée. Voir le guide nLPD.
Ce que je constate en mission. La rectification est le droit le plus facile à satisfaire et pourtant celui qui met le plus souvent les PME en difficulté, parce qu’une même personne existe dans cinq outils avec cinq fiches différentes. L’audit commence par cette question simple : combien de fois le même client est-il saisi dans votre système d’information ? La réponse explique à la fois les erreurs, les doublons d’e-mailing et le temps passé à répondre aux demandes.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Peut-on demander une preuve avant de rectifier ?
Oui, lorsqu’un doute raisonnable existe sur l’exactitude de la nouvelle information, par exemple un changement d’état civil ; dans la plupart des cas (adresse, e-mail), la déclaration de la personne suffit.
La rectification s’applique-t-elle aux données de sauvegarde ?
Elle s’applique aux données actives ; les sauvegardes sont corrigées lors de leur prochaine rotation, selon le même cycle documenté que pour l’effacement.
Quel lien avec le droit à la limitation ?
Pendant la vérification de l’exactitude d’une donnée contestée, la personne peut demander la limitation du traitement (article 18) : la donnée est gelée le temps de la vérification.
Organiser vos réponses aux demandes de droits
Procédure, journal des demandes et réponses types font partie des livrables de notre audit RGPD.
